Par Hannes Scheibitz, Partner et Anne-Charlotte Bourhis, collaboratrice, PwC Société d’Avocats

Souhaitant harmoniser et garantir un niveau élevé de protection des lanceurs d’alerte dans l’ensemble de l’Union européenne, le Parlement européen et le Conseil ont adopté le 23 octobre 2019 la directive (UE) 2019/1937 sur la protection des personnes qui signalent des violations du droit de l’Union (1). Entrée en vigueur le 16 décembre 2019, celle-ci devra être transposée par les Etats membres au plus tard le 17 décembre 2021 (2).

L’article 8 de la loi Sapin 2 rend déjà obligatoire pour les personnes morales de droit privé d’au moins 50 salariés, la mise en place de « procédures appropriées de recueil des signalements émis par les membres de leur personnel », assurant au lanceur d’alerte la protection nécessaire (3). La directive (UE) 2019/1937 sur la protection des personnes qui signalent des violations du droit de l’Union propose notamment d’élargir ce dispositif de protection aux « facilitateurs (4) » ainsi qu’aux « tiers qui sont en lien avec les auteurs de signalement et qui risquent de faire l’objet de représailles dans un contexte professionnel, tels que des collègues ou des proches des auteurs de signalement ».

Si dans le cadre de cette transposition, le ministère de la Justice a lancé une consultation publique (5) sur l’évolution du droit français relatif au dispositif de signalement et de protection des lanceurs d’alerte, d’autres autorités ont déjà rendu public leur avis sur la directive. Tel est notamment le cas de la Commission nationale consultative des droits de l’homme (CNCDH) et du Défenseur des droits qui appellent de leurs vœux à une transposition ambitieuse (6).

Les fonctions en charge de l’éthique et de la conformité sont invitées dans l’attente de la transposition de la directive à échanger avec l’instance dirigeante de leur organisation sur le rôle prépondérant de celle-ci dans la prévention et la détection des atteintes à la probité et à s’interroger sur l’efficacité de leur dispositif d’alerte actuel.

La responsabilité de l’instance dirigeante

En effet, comme les nouvelles recommandations de l’Agence française anticorruption (Afa), publiées en janvier dernier, sont venues le rappeler, le rôle joué par l’instance dirigeante est crucial en la matière. Chaque collaborateur doit avoir l’assurance que le dispositif d’alerte est soutenu au plus haut niveau de l’organisation. Dans le cadre de la mise en œuvre d’un dispositif d’alerte, son rôle s’incarne notamment à travers diverses actions.

D’une part, les personnels en charge d’investiguer doivent être « désignés par l’instance dirigeante de l’entreprise ». Ils doivent bénéficier de toutes les ressources nécessaires à leurs actions. Ces personnels sont d’ailleurs tenus, a minima, d’informer celle-ci « des enquêtes ouvertes relatives aux situations les plus sensibles, à l’exception de celles où elle est elle-même mise en cause ». D’autre part, en cas de manquement avéré au code de conduite, il appartient à l’instance dirigeante ou à son délégataire (ou à l’organe de contrôle lorsque l’instance dirigeante se trouve être mise en cause), après avoir pris connaissance du rapport d’enquête qui lui a été communiqué, de décider des suites à donner (sanctions disciplinaires, saisine des juridictions compétentes, etc.).

Enfin, l’instance dirigeante est également informée de l’effectivité du dispositif. Cette information étant rendu possible grâce à la mise en place « d’indicateurs afin d’apprécier la qualité et l’efficacité du dispositif d’alerte (nombre d’alertes reçues, classées sans suite ou traitées, délais de traitement, problématiques soulevées, etc.) ».

Les meilleures pratiques existantes

Enfin, cette période est également l’occasion de « challenger » le dispositif d’alerte existant afin de s’assurer que celui-ci est conforme aux dispositions légales et réglementaires applicables, adapté à la culture d’entreprise et aux réalités opérationnelles de l’organisation. Les informations contenues dans la procédure d’alerte (identité/fonction du référent ou, le cas échéant, des membres du comité en charge de l’instruction des alertes, etc.) doivent être à jour. Si une mise à jour de la procédure est rendue nécessaire, cette actualisation pourra être l’occasion de procéder à une véritable « refonte » de celle-ci afin d’en faire un « guide pratique » à destination de l’ensemble de ses utilisateurs potentiels. Le document présentera dans un langage clair le dispositif dans son ensemble : rôles et responsabilités des parties prenantes à chaque étape du recueil et du traitement des signalements, présentation des garanties de protection offertes au lanceur d’alerte, etc.

Il faut pouvoir attester que les personnes impliquées dans le traitement de l’alerte ou susceptibles de l’être (personnels pouvant potentiellement, en raison de leurs fonctions, recevoir un signalement en dehors du dispositif dédié) ont reçu une formation spécifique portant notamment sur le respect de la confidentialité des informations recueillies. La signature d’un accord de confidentialité renforcé est conseillée.

S’il apparaît important de formaliser la procédure d’enquête interne, il est tout autant recommandé de procéder au référencement de cabinets d’avocats spécialisés en conformité, pouvant assister, séance tenante, dans la conduite d’enquêtes internes. En effet, dans cet exercice, l’avocat occupe un rôle déterminant pour mener l’enquête dans le respect de la loi et des règles procédurales et déontologiques applicables (au rang desquelles figure le secret professionnel), procéder à la qualification des faits objet de l’alerte et élaborer une stratégie judiciaire parfaitement adaptée au cas d’espèce.

D’ailleurs, le dispositif d’alerte devant être ouvert aux collaborateurs extérieurs et occasionnels, l’existence de celui-ci, ses modalités de fonctionnement ainsi que les garanties de protection offertes par celui-ci doivent être contractuellement portées à leur connaissance.

Il est important de communiquer régulièrement, en interne et externe, sur l’existence du dispositif d’alerte. Dans ce contexte, il est conseillé de déployer un ou plusieurs dispositif(s) (sondage anonyme, déclaration annuelle de conformité, etc.) permettant de s’assurer périodiquement que les salariés connaissent l’existence du dispositif d’alerte et se sentent assez « en confiance » pour l’utiliser.

Il est également important de s’assurer que les durées de conservation des données à caractère personnel collectées dans le cadre du dispositif d’alerte sont conformes à la réglementation applicable. Le suivi statistique des signalements reçus et traités au sein de l’organisation doit intégrer les informations relatives aux signalements émis « hors systèmes ». Enfin, le cas échéant, les manquements identifiés via le dispositif d’alerte sont à prendre en compte dans l’actualisation des cartographies des risques.

(1). Directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.

(2). Il convient de noter que si cette directive doit être transposée avant le 17 décembre 2021 pour le secteur public et pour les entreprises de plus de 249 travailleurs du secteur privé, cette date est reportée au 17 décembre 2023 pour les entités juridiques du secteur privé comptant 50 à 249 travailleurs.

(3). Au rang desquelles figure notamment : la confidentialité de son identité et des informations recueillies par l’ensemble des destinataires du signalement, ainsi que la protection contre toute mesure de représailles.

(4). Terme défini par la directive de la manière suivante : « Personne physique qui aide un auteur de signalement au cours du processus de signalement dans un contexte professionnel et dont l’aide devrait être confidentielle. »

(5). Cette consultation était ouverte jusqu’au 21 mars 2021.

(6). Le Défenseur des droits estime notamment que la loi de transposition doit « s’affranchir » de la « définition stricte » de l’article 4 de la directive précitée, qui ouvre principalement aux personnes physiques la possibilité de lancer une alerte et ceci afin de permettre à toutes personnes morales (y compris les syndicats, les ONG ou les associations à but non lucratif, les fondations), de « lancer une alerte relative à des pratiques illégales, des risques ou menaces graves contraires à l’intérêt général et de bénéficier de la protection qui en découle » (source : juridique.defenseurdesdroits.fr/doc_num.php. Dans le même sens, la CNCDH considère qu’il faut « élargir le statut de facilitateur à toute personne morale » (source : www.legifrance.gouv.fr/jorf/id/JORFTEXT000042393830).